Политика в отношении обработки персональных данных

1. Общие положения

1.1. Настоящая Политика составлена во исполнение пункта 2 части 1 статьи 18.1 Федерального закона от 27.07.2006 № 152-ФЗ «О персональных данных» и определяет порядок обработки персональных данных и меры по обеспечению их безопасности, принимаемые ООО «Хакта» (далее — Оператор).

1.2. Реквизиты Оператора: ООО «Хакта», ИНН 1660213631, КПП 166001001.

1.3. Политика распространяется на обработку персональных данных в сервисе единой учётной записи Hakta ID, размещённом по адресу id.hakta.pro (далее — Сервис), совершаемую с использованием средств автоматизации и без их использования.

1.4. Политика применяется ко всем персональным данным субъектов, которые Оператор получает в связи с работой Сервиса, и действует бессрочно до замены её новой редакцией.

1.5. Действующая редакция Политики размещена в свободном доступе по адресу id.hakta.pro/legal/personal-data.

2. Основные понятия

2.1. Термины «персональные данные», «обработка персональных данных», «оператор», «субъект персональных данных», «обезличивание», «блокирование», «уничтожение», «трансграничная передача» используются в значениях, определённых статьёй 3 152-ФЗ.

2.2. Учётная запись — совокупность данных о Пользователе, хранимых в Сервисе и используемых для его опознания при входе.

2.3. Подключённый сервис — информационная система, которой Оператор предоставил возможность опознавать пользователей через Hakta ID по протоколу OpenID Connect.

2.4. Пользователь — физическое лицо, создавшее учётную запись в Сервисе или использующее её для входа в Подключённые сервисы.

3. Категории субъектов и состав обрабатываемых данных

3.1. Оператор обрабатывает персональные данные следующих категорий субъектов:

• пользователей, создавших учётную запись Hakta ID;
• лиц, обратившихся к Оператору по вопросам работы Сервиса.

3.2. Состав обрабатываемых персональных данных пользователей:

• идентификационные данные: внутренний идентификатор учётной записи, краткое имя учётной записи (HaktaId), имя, которое Пользователь указал при регистрации;
• контактные данные: адрес электронной почты и (или) номер телефона, а также отметки об их подтверждении;
• данные для проверки подлинности: значение пароля, преобразованное необратимой хеш-функцией (сам пароль Оператору неизвестен и не хранится); ключ приложения-аутентификатора и коды восстановления при включённой двухфакторной аутентификации; открытые ключи и идентификаторы ключей доступа (passkey);
• данные о доступе: роли и права в административной части Сервиса, сведения о выданных сеансах и токенах, перечень Подключённых сервисов, в которые выполнялся вход, даты создания и окончания сеансов;
• технические данные: IP-адрес, сведения о программе-браузере (User-Agent), идентификатор устройства, если приложение его передаёт, дата и время обращений, адреса запрошенных страниц;
• данные о безопасности учётной записи: число неудачных попыток входа, сведения о блокировках, дата последнего запроса на восстановление пароля;
• сведения о согласии: дата и время принятия настоящей Политики, номер принятой редакции и IP-адрес, с которого оно дано.

3.3. Оператор не обрабатывает в Сервисе специальные категории персональных данных (статья 10 152-ФЗ) и биометрические персональные данные (статья 11 152-ФЗ). Технология passkey не передаёт Оператору биометрические данные: проверка отпечатка или лица выполняется устройством Пользователя, а Оператор получает лишь результат такой проверки и открытый ключ.

3.4. Оператор не обрабатывает данные несовершеннолетних осознанно. Если станет известно, что учётная запись создана лицом, не достигшим возраста, с которого оно вправе самостоятельно дать согласие, такая запись будет удалена.

4. Цели обработки

• создание и ведение учётной записи Пользователя;
• опознание Пользователя при входе и предоставление ему доступа к Подключённым сервисам — основное назначение Сервиса;
• передача Подключённому сервису сведений о Пользователе в объёме, который этот сервис запросил и который Пользователь разрешил;
• подтверждение принадлежности адреса электронной почты и номера телефона, восстановление доступа к учётной записи;
• обеспечение безопасности: выявление и пресечение подбора паролей, перебора учётных записей и иных попыток неправомерного доступа;
• рассмотрение обращений Пользователей и техническая поддержка;
• исполнение обязанностей, возложенных на Оператора законодательством.

4.1. Оператор не использует персональные данные Пользователей Сервиса для рекламы и не принимает на их основании решений, порождающих юридические последствия, исключительно автоматизированным образом.

5. Правовые основания обработки

• согласие субъекта (пункт 1 части 1 статьи 6 152-ФЗ) — даётся отдельным действием при регистрации; факт, дата и редакция согласия фиксируются;
• исполнение договора, стороной которого является субъект (пункт 5 части 1 статьи 6 152-ФЗ) — в части, необходимой для работы учётной записи;
• достижение законных интересов Оператора (пункт 7 части 1 статьи 6 152-ФЗ) — в части мер защиты от неправомерного доступа, при условии что при этом не нарушаются права и свободы субъекта;
• исполнение обязанностей, возложенных законом (пункт 2 части 1 статьи 6 152-ФЗ).

5.1. Согласие может быть отозвано Пользователем в порядке раздела 9. Отзыв согласия влечёт прекращение обработки и удаление учётной записи, за исключением данных, обработка которых продолжается на иных основаниях, предусмотренных частью 2 статьи 9 152-ФЗ.

6. Порядок и условия обработки

6.1. Оператор совершает с персональными данными следующие действия: сбор, запись, систематизацию, накопление, хранение, уточнение (обновление, изменение), извлечение, использование, передачу (предоставление, доступ), блокирование, удаление, уничтожение.

6.2. Обработка осуществляется с использованием средств автоматизации. Оператор не осуществляет обработку без использования средств автоматизации, за исключением рассмотрения письменных обращений субъектов.

6.3. Запись, систематизация, накопление, хранение, уточнение и извлечение персональных данных граждан Российской Федерации осуществляются с использованием баз данных, находящихся на территории Россия (часть 5 статьи 18 152-ФЗ).

6.4. Сроки обработки и хранения:

• данные учётной записи хранятся, пока существует учётная запись, и удаляются в течение 30 дней после её удаления Пользователем или отзыва согласия;
• сведения о сеансах и выданных токенах хранятся до истечения их срока действия и удаляются автоматически;
• технические журналы, содержащие IP-адреса и сведения об обращениях, хранятся не более 12 месяцев;
• сведения о согласии хранятся в течение срока существования учётной записи и трёх лет после её удаления — как подтверждение правомерности обработки;
• данные, срок хранения которых установлен законом, хранятся в течение этого срока.

7. Передача персональных данных

7.1. Подключённые сервисы

Назначение Сервиса — опознавать Пользователя для других информационных систем. Когда Пользователь входит в Подключённый сервис через Hakta ID, Оператор передаёт этому сервису сведения о Пользователе.

Объём передаваемых сведений определяется тем, что запросил Подключённый сервис, и может включать:

• внутренний идентификатор учётной записи и краткое имя (HaktaId);
• имя, указанное Пользователем;
• адрес электронной почты и отметку о его подтверждении;
• номер телефона и отметку о его подтверждении;
• роли Пользователя, если сервис их запрашивает.

Пароль, коды подтверждения, ключи двухфакторной аутентификации и ключи доступа Подключённым сервисам не передаются ни при каких условиях.

Получив данные, Подключённый сервис обрабатывает их самостоятельно и отвечает за это как отдельный оператор — в соответствии со своей политикой обработки персональных данных. Настоящая Политика на такую обработку не распространяется. Удаление учётной записи Hakta ID прекращает вход в Подключённый сервис, но само по себе не удаляет данные, которые этот сервис уже получил и хранит у себя; для их удаления следует обратиться к нему напрямую.

Перечень Подключённых сервисов:

• hkdata-web
• Reqova
• Нодра (nodra)
• Чек-чек!

Перечень актуален на момент просмотра страницы.

7.2. Обработка по поручению Оператора

Оператор поручает обработку персональных данных лицам, обеспечивающим работу Сервиса. Поручение оформляется договором, содержащим перечень действий, цели обработки и обязанность соблюдать конфиденциальность и требования статьи 19 152-ФЗ. Такими лицами являются:

• АО ИОТ — предоставление серверов, на которых работает Сервис и размещена база данных;
• Юнисендер — доставка писем с кодами подтверждения и ссылками восстановления доступа.

Оператор не продаёт персональные данные и не передаёт их третьим лицам в рекламных целях.

7.3. Передача по требованию закона

Оператор передаёт персональные данные государственным органам в объёме и порядке, установленных законодательством Российской Федерации, при получении надлежащим образом оформленного требования.

8. Трансграничная передача

8.1. Оператор не осуществляет трансграничную передачу персональных данных Пользователей Сервиса.

8.2. Если Подключённый сервис находится за пределами Российской Федерации, передача ему сведений при входе является трансграничной. До подключения такого сервиса Оператор уведомляет уполномоченный орган по защите прав субъектов персональных данных в порядке статьи 12 152-ФЗ, а сам сервис указывается в перечне пункта 7.1 с отметкой о стране размещения.

9. Права субъекта персональных данных

9.1. Пользователь вправе:

• получить подтверждение факта обработки и сведения, предусмотренные частью 7 статьи 14 152-ФЗ;
• требовать уточнения неполных или неточных данных;
• требовать удаления данных, обрабатываемых неправомерно или более не нужных для заявленной цели;
• отозвать согласие на обработку;
• возражать против обработки, осуществляемой в законных интересах Оператора;
• обжаловать действия Оператора в Роскомнадзоре или в суде.

9.2. Часть прав реализуется самостоятельно в разделе управления учётной записью: просмотр и изменение имени, адреса электронной почты и номера телефона, смена пароля, выгрузка данных учётной записи, удаление учётной записи.

9.3. По остальным вопросам следует направить обращение на адрес privacy@hakta.pro. Обращение должно позволять установить личность заявителя и его связь с учётной записью. Оператор отвечает в течение 10 рабочих дней.

9.4. Оператор вправе отказать в удалении данных, если обязанность их хранить установлена законом, либо если данные необходимы для защиты прав Оператора; отказ даётся в письменной форме с указанием причины.

10. Меры по обеспечению безопасности

10.1. Оператор принимает меры, предусмотренные статьями 18.1 и 19 152-ФЗ, в том числе:

• назначает лицо, ответственное за организацию обработки персональных данных;
• публикует настоящую Политику и обеспечивает к ней свободный доступ;
• ограничивает доступ работников к персональным данным пределами служебной необходимости;
• передаёт данные по сети исключительно по защищённому протоколу HTTPS;
• хранит пароли только в виде результата необратимого хеширования с солью; восстановление исходного пароля из него невозможно, в том числе для Оператора;
• ограничивает число попыток входа и обращений к проверке существования учётной записи, увеличивая паузу при повторных срабатываниях;
• предоставляет Пользователю двухфакторную аутентификацию и вход по ключам доступа;
• исключает из технических журналов значения кодов подтверждения и ссылок восстановления доступа;
• ведёт учёт сеансов и обеспечивает их принудительное завершение;
• осуществляет внутренний контроль соответствия обработки требованиям закона.

10.2. Оператор уведомляет уполномоченный орган и затронутых субъектов о случаях неправомерной передачи персональных данных в сроки, установленные частью 3.1 статьи 21 152-ФЗ.

11. Заключительные положения

11.1. Оператор вправе изменять Политику. Новая редакция размещается по адресу, указанному в пункте 1.5, с указанием даты начала её действия.

11.2. При изменениях, затрагивающих объём обрабатываемых данных, цели обработки или состав получателей, Оператор уведомляет Пользователей по адресу электронной почты, указанному в учётной записи, и при необходимости запрашивает согласие повторно.